專利名稱：智能卡動態(tài)管理的制作方法
技術(shù)領(lǐng)域：
本發(fā)明一般而言涉及適于解擾已加擾視聽信息的便攜安全模塊。
背景技術(shù)：
加密數(shù)據(jù)的傳輸在付費電視系統(tǒng)領(lǐng)域中是眾所周知的，其中加擾視聽信息通常通過地面發(fā)射機、衛(wèi)星或者通過電纜網(wǎng)廣播給多個用戶，每個用戶擁有解碼器或者接收機/解碼器，它們能夠解擾已加擾的視聽信息以供隨后觀看。
在典型的系統(tǒng)中，可以使用控制字來解擾已加擾視聽信息。為了試圖改善系統(tǒng)的安全性，控制字通常每10秒鐘左右進行改變。每個用戶每10秒鐘接收ECM(授權(quán)控制信息)中的解擾已加擾視聽信息所需的控制字，以便允許傳輸觀看。
控制字本身通過運行(exploitation)密鑰進行加密，并且在ECM中以加密的形式進行傳輸。解碼器接收已加擾視聽信息和已加密控制字，該解碼器在已付費用戶的情況下可以訪問在插入解碼器中的便攜安全模塊(例如智能卡)上存儲的運行密鑰。智能卡利用運行密鑰來解密已加密控制字。智能卡將該控制字傳送到解碼器。解碼器使用已解密控制字來解擾已加擾視聽信息。解碼器實際上具有足以提供實時解擾已加擾視聽信息的能力。
該運行密鑰本身是周期性改變的，例如每個月左右改變。解碼器按月接收EMM(授權(quán)管理信息)，并用智能卡傳送該EMM。EMM包含以編碼的形式的運行密鑰。分配給智能卡的組密鑰使得能夠解碼已編碼的運行密鑰。
解碼器因此定期向智能卡發(fā)送命令消息。
命令消息可以是ECM，即解密器以加密的形式向智能卡發(fā)送控制字。智能卡使用運行密鑰來解密控制字?？刂谱值膫魉屯ǔＣ?0秒鐘發(fā)生。
如果電視觀眾從第一頻道轉(zhuǎn)換(zap)到第二頻道，則在以加密的形式傳送第一控制字之后，解碼器以加密的形式向智能卡傳送第二控制字。第一控制字和第二控制字分別對應(yīng)于第一頻道和第二頻道。由于頻道的轉(zhuǎn)換，因此智能卡可能比每10秒更頻繁地接收授權(quán)控制信息。
命令消息還可以是EMM，即解碼器以加密的形式向智能卡傳送運行密鑰，或者命令消息可以是來自解碼器的任何其他命令消息。
圖1示意性地說明根據(jù)現(xiàn)有技術(shù)的智能卡。通過從解碼器(未表示)接收消息例如授權(quán)控制信息ECMn來激活智能卡11解碼器充當主機，以及智能卡充當從機。智能卡的處理單元12僅僅執(zhí)行從解碼器接收的命令消息。智能卡11包括其中存儲參數(shù)的參數(shù)存儲器，例如EEPROM 13。處理單元12可以檢查存入EEPROM 13的參數(shù)是正確的。參數(shù)例如可以是待接收的授權(quán)控制信息的大小。在解密已接收的授權(quán)控制信息ECMn中所包含的已加密控制字之前，處理單元可以檢查已接收授權(quán)控制信息ECMn具有適當?shù)拇笮　?br> 智能卡通常打算與單個解碼器進行通信。然而，欺詐用戶可能試圖在單個智能卡與多個解碼器之間設(shè)置一個服務(wù)器。該服務(wù)器可以是例如經(jīng)由電線與多個解碼器直接通信的分路器。該服務(wù)器還可以是經(jīng)由網(wǎng)絡(luò)例如因特網(wǎng)與多個解碼器通信的控制字服務(wù)器。
圖2示意性地說明根據(jù)現(xiàn)有技術(shù)的分路器配置的實例。
第一解碼器24A持續(xù)接收對應(yīng)于第一頻道的第一已加擾視聽信息ECW1(m1)。第二解碼器24B持續(xù)接收對應(yīng)于第二頻道的第二已加擾視聽信息ECW2(m2)。第一解碼器24A和第二解碼器24B分別允許提供第一已加擾視聽信息ECW1(m1)和第二已加擾視聽信息ECW2(m2)的實時解擾。
使用在第一解碼器24A的第一存儲器25A中存儲的第一控制字CW1和在第二解碼器24B的第二存儲器25B中存儲的第二控制字CW2分別解擾第一已加擾視聽信息ECW1(m1)和第二已加擾視聽信息ECW2(m2)。
在每個加密周期，即例如每10秒，第一解碼器24A和第二解碼器24B分別接收第一授權(quán)控制信息ECM1和第二授權(quán)控制信息ECM2。
在分路器配置中，第一解碼器24A和第二解碼器24B在單個加密周期分別向單個服務(wù)器(例如分路器22)傳送第一授權(quán)控制信息ECM1和第二授權(quán)控制信息ECM2。
分路器22把所傳送的授權(quán)控制信息之一例如ECM1轉(zhuǎn)發(fā)給單個便攜安全模塊，例如智能卡21。利用存入智能卡存儲器26中的運行密鑰，一接收到已轉(zhuǎn)發(fā)的授權(quán)控制信息(ECM1)，智能卡就解密相應(yīng)的控制字，例如CW1。相應(yīng)的控制字CW1被傳送給分路器22。一旦分路器22接收到所傳送的控制字CW1，分路器22就把在所傳送的授權(quán)控制信息中的一個不同的授權(quán)控制信息例如ECM2轉(zhuǎn)發(fā)給智能卡21。一接收到已轉(zhuǎn)發(fā)的授權(quán)控制信息(ECM2)，智能卡就解密相應(yīng)的控制字，例如CW2。相應(yīng)的控制字CW2被傳送給分路器22。
分路器22把已解密的控制字CW1和CW2分別轉(zhuǎn)發(fā)給第一解碼器24A和第二解碼器24B。
服務(wù)器允許多個解碼器利用單個智能卡來解擾已加擾視聽信息。
總之，已付費用戶通常擁有單個便攜安全模塊，例如智能卡。然而，如所述的欺詐用戶設(shè)置的服務(wù)器，例如分路器或者控制字服務(wù)器，允許多個解碼器利用單個智能卡來解擾已加擾視聽信息。因此，已付費用戶有可能向不擁有任何智能卡的一個或多個未授權(quán)用戶提供專用于該已付費用戶的視聽信息的訪問。
因此需要一種允許阻止在分路器配置中服務(wù)器的使用的方法。然而，擁有直接與智能卡通信的解碼器的常規(guī)已付費用戶不應(yīng)當遇到問題。
第一方法可以是在智能卡中實施減速軟件，其中減速軟件允許減慢每個智能卡的處理。智能卡因而可能不能夠在一個加密周期(例如10秒)期間解密多于一個的控制字。
第二方法可以是以較短的加密周期(例如每3秒)發(fā)射授權(quán)控制信息。
第一方法和第二方法都允許將處理限制為每個加密周期單個ECM。因此，服務(wù)器通常將不能同步在多個解碼器與單個智能卡之間的通信。只有單個解碼器才可以正確地與單個智能卡一起運行。
然而，如果擁有單個解碼器的常規(guī)已付費用戶以相對較高的轉(zhuǎn)換速率從一個頻道轉(zhuǎn)換到另一個頻道，則智能卡也可能不能夠在每個加密周期解密多個已接收的ECM。因此常規(guī)已付費用戶可能被阻止在各種已提供的視聽信息之間轉(zhuǎn)換。通常，常規(guī)已付費用戶的屏幕可能在轉(zhuǎn)換動作中變?yōu)榭瞻祝词乖撚脩羰浅Ｒ?guī)已付費用戶。

發(fā)明內(nèi)容
在第一方面中，本發(fā)明提供一種用于保護供解碼元件使用的便攜安全模塊的方法，該便攜安全模塊和該解碼元件允許解擾已加擾的視聽信息。該方法包括在便攜安全模塊上處理在便攜安全模塊上接收的授權(quán)控制信息(ECM)，以允許解擾已加擾視聽信息。該方法還包括在便攜安全模塊上分析ECM的序列，該ECM的序列包括新ECM和在前一時間接收的前一ECM，該序列的ECM是便攜安全模塊在不同時間接收的，所述分析是在接收新ECM時執(zhí)行的。在分析時根據(jù)分析的已確定結(jié)果來遞增誤差(error)寄存器，并且根據(jù)誤差寄存器的值，通過在處理時引入停滯時間來對便攜安全模塊施加懲罰，以便減慢處理。
在第一優(yōu)選實施例中，利用授權(quán)管理信息(EMM)來代替ECM。
在第二優(yōu)選實施例中，停滯時間具有取決于誤差寄存器的值的持續(xù)時間。
在第三優(yōu)選實施例中，停滯時間的持續(xù)時間比最大時間值短。最大時間值高得足以防止便攜安全模塊在單個加密周期期間處理多于一個的授權(quán)控制信息。
在第四優(yōu)選實施例中，每個授權(quán)控制信息包括一個頻道標識符。該頻道標識符與已確定的頻道相關(guān)聯(lián)。ECM的序列的分析包括比較新ECM的頻道標識符與前一ECM的頻道標識符。
在第五優(yōu)選實施例中，每個授權(quán)控制信息包括第一已加密控制字和第二已加密控制字。第一控制字允許在第一加密周期期間解擾已加擾視聽信息，以及第二控制字允許在不同于第一加密周期的第二加密周期期間解擾已加擾視聽信息。ECM的序列的分析包括比較前一ECM的第二控制字與新ECM的第一控制字。
在第六優(yōu)選實施例中，ECM的序列的分析包括比較ECM序列的第一ECM的已確定內(nèi)容與ECM序列的第二ECM的第二已確定內(nèi)容。
在第七優(yōu)選實施例中，一復(fù)位就在授權(quán)控制信息的每次處理時引入復(fù)位停滯時間。復(fù)位停滯時間具有取決于復(fù)位后在便攜安全模塊上接收的多個授權(quán)控制信息的持續(xù)時間。該持續(xù)時間等于緊隨復(fù)位的第一處理的第一復(fù)位時間值。第一復(fù)位時間值小于最大時間值。
在第八優(yōu)選實施例中，根據(jù)中間命令消息的中間組評估另一復(fù)位的特性。該中間組包括在前一復(fù)位之后接收的命令消息，該前一復(fù)位在所述另一復(fù)位之前。
在第九優(yōu)選實施例中，計數(shù)中間ECM的數(shù)量。比較中間ECM的數(shù)量與復(fù)位閾值數(shù)量。該比較的結(jié)果允許評估另一復(fù)位的特性。如果另一復(fù)位被評估為可疑的，則依據(jù)另一復(fù)位遞增復(fù)位誤差寄存器。如果復(fù)位誤差寄存器具有大于復(fù)位誤差閾值的值，則阻塞便攜安全模塊。
優(yōu)選地，該便攜安全模塊是智能卡，以及該解碼元件是解碼器。
在第二方面中，本發(fā)明提供一種供解碼元件使用的便攜安全模塊，其中該便攜安全模塊和該解碼元件允許解擾已加擾的視聽信息。該便攜安全模塊包括接收授權(quán)控制信息(ECM)的接收裝置以及處理在便攜安全模塊上接收的ECM以便允許解擾已加擾視聽信息的處理裝置。該便攜安全模塊還包括可以存儲在前一時間接收的前一ECM的命令消息存儲器以及分析ECM的序列的分析裝置，所述ECM的序列包括新ECM和前一ECM，該序列的ECM是便攜安全模塊在不同時間接收的，并且所述分析是在每次接收新ECM時執(zhí)行的。該便攜安全模塊還包括比較ECM序列的新ECM與前一ECM的比較裝置、誤差寄存器、根據(jù)比較結(jié)果來遞增誤差寄存器的遞增裝置、以及在每次處理時引入停滯時間以便減慢處理的延遲裝置。
在第十優(yōu)選實施例中，延遲裝置還允許一復(fù)位就在該復(fù)位之后的每次處理時引入復(fù)位停滯時間。復(fù)位停滯時間具有取決于該復(fù)位后的處理的數(shù)量的持續(xù)時間。該持續(xù)時間等于緊隨復(fù)位的第一處理的第一復(fù)位時間值。
在第十一優(yōu)選實施例中，便攜安全模塊還包括允許存儲中間ECM的數(shù)量的計數(shù)寄存器。該中間ECM是在前一復(fù)位之后在便攜安全模塊上接收的。該便攜安全模塊還包括一個標志。該標志具有取決于計數(shù)寄存器與復(fù)位閾值數(shù)量的比較結(jié)果的值。復(fù)位誤差寄存器根據(jù)另一復(fù)位時該標志的值進行遞增。阻塞裝置允許根據(jù)復(fù)位誤差寄存器的值來阻塞便攜安全模塊。
在第十二優(yōu)選實施例中，用授權(quán)管理信息(EMM)來代替ECM。
在第三方面中，本發(fā)明提供一種在便攜安全模塊內(nèi)使用的軟件。該軟件允許實施本發(fā)明的第一方面的方法。
在第四方面中，本發(fā)明提供一種用于保護便攜安全模塊的方法。該方法包括在制造時下載根據(jù)本發(fā)明的第三方面的軟件。
在第五方面中，本發(fā)明提供一種用于保護便攜安全模塊的方法。該方法包括下載根據(jù)本發(fā)明的第三方面的軟件。該下載包括在便攜安全模塊上接收來自解碼元件的至少一個配置消息。
根據(jù)以下說明和所附權(quán)利要求書，本發(fā)明的其它方面和優(yōu)點將是顯而易見的。


圖1示意性地說明根據(jù)現(xiàn)有技術(shù)的智能卡的實例。
圖2示意性地說明根據(jù)現(xiàn)有技術(shù)的分路器配置的實例。
圖3說明根據(jù)本發(fā)明的便攜安全模塊的實例。
圖4說明將由根據(jù)本發(fā)明的智能卡執(zhí)行的算法的實例。
圖5A和圖5B說明由根據(jù)本發(fā)明的便攜安全模塊接收的命令消息的序列的實例。
圖6A說明在根據(jù)本發(fā)明的便攜安全模塊中誤差寄存器的值的可能的序列。
圖6B說明在根據(jù)本發(fā)明的便攜安全模塊中停滯時間的持續(xù)時間的值的可能序列。
圖6C說明根據(jù)本發(fā)明的便攜安全模塊的停滯時間的持續(xù)時間的值的序列的實例。
圖7說明將在根據(jù)本發(fā)明的便攜安全模塊中實施的算法的實例。
具體實施例方式
發(fā)明概述圖3說明根據(jù)本發(fā)明的便攜安全模塊的實例。便攜安全模塊31，例如智能卡，打算供解碼元件(未表示)比如解碼器使用。便攜安全模塊和解碼元件允許解擾已加擾視聽信息。便攜安全模塊31接收多個消息，例如授權(quán)控制信息。便攜安全模塊允許處理每個已接收的授權(quán)控制信息ECMn+1，以便提取待發(fā)送給解碼器的控制字CWn+1。
與來自現(xiàn)有技術(shù)的便攜安全模塊類似，根據(jù)本發(fā)明的智能卡31可以包括僅僅處理在便攜安全模塊上接收的授權(quán)控制信息或其它消息的處理單元32。便攜安全模塊31可以包括其中存儲參數(shù)的參數(shù)存儲器，例如EEPROM 33。處理單元32可以檢查存入EEPROM 33中的參數(shù)是正確的。
本發(fā)明的便攜安全模塊31包括分析命令消息的序列(CMn+1，CMn)的分析裝置35。便攜安全模塊31在不同時間接收序列(CMn+1，CMn)的命令消息。
通常在每次接收新的命令消息CMn+1時執(zhí)行該分析。命令消息的序列包括新命令消息CMn+1和前一命令消息CMn，該前一命令消息CMn例如可以是緊接在新命令消息CMn+1之前被接收的。命令消息的序列還可以包括至少一個另外的命令消息。
該分析可以包括比較命令消息的序列(CMn+1，CMn)的命令消息的已確定內(nèi)容。誤差寄存器37可以根據(jù)比較的確定結(jié)果來遞增。
因此，本發(fā)明的智能卡允許提取信息，例如誤差寄存器37的值，該提取的信息涉及在新命令消息CMn+1之間接收的命令消息?？梢愿鶕?jù)誤差寄存器37的值來向智能卡31施加懲罰。根據(jù)本發(fā)明的這樣一種方法不同于第一方法和第二方法，它允許避免傷害擁有單個解碼器的常規(guī)已付費用戶以相對較高的轉(zhuǎn)換速率從一個頻道轉(zhuǎn)換到另一個頻道。
智能卡31還可以包括命令消息存儲器36，在該存儲器中可以存儲順序接收的消息中的至少一個命令消息。命令消息存儲器36可以不同于包括處理單元32和分析裝置35的中央處理單元34。
作為選擇，命令消息存儲器可以是例如分析裝置的一部分命令消息存儲器通?？梢允欠治鲅b置或者任何其它處理裝置的單個寄存器。
分析裝置35可以是不同于處理單元32的硬件設(shè)備，如圖3所示。分析裝置優(yōu)選是在智能卡中實施的分析軟件。中央處理單元包括處理軟件和分析軟件。
圖4說明將由根據(jù)本發(fā)明的智能卡執(zhí)行的算法的實例。智能卡接收消息。所接收的消息可以是命令消息，例如ECM、EMM或者任何其它已確定消息。當新命令消息CMn+1被接收到(框401)時，執(zhí)行命令消息序列的分析。通常，比較新命令消息CMn+1與在較早時間接收的前一命令消息CMn(框402)。新命令消息CMn+1與前一命令消息CMn的比較可以是比較每個命令消息(CMn，CMn+1)的已確定部分，例如標識符。該比較還可以是比較每個命令消息(CMn，CMn+1)的已提取信息，例如由智能卡解密的控制字。
誤差寄存器error_reg可以根據(jù)比較的結(jié)果來遞增(框403)。該算法還包括在智能卡上接收的授權(quán)控制信息的每次處理時引入停滯時間τ(框404)。這樣的停滯時間懲罰允許減慢智能卡。在本發(fā)明的方法中，停滯時間τ具有取決于誤差寄存器error_reg的值的持續(xù)時間。通常，停滯時間τ的持續(xù)時間隨著誤差寄存器error_reg的值的增加而增加。
在分路器配置的情況下，智能卡在每個加密周期接收多于一個的ECM。智能卡處理每個已接收的ECM，以便允許解擾已加擾視聽信息。然而，如果該分析在每個加密周期(例如每10秒)檢測到問題，則誤差寄存器error_reg可以具有相對較高的值。因而停滯時間τ具有相對較高的持續(xù)時間，這可以防止智能卡在每個加密周期處理多于一個的ECM，從而破壞利用單個智能卡對多個廣播的視聽節(jié)目的解擾。
在擁有常規(guī)解碼系統(tǒng)的常規(guī)已付費用戶的情況中，常規(guī)已付費用戶在從一個頻道轉(zhuǎn)換到另一個頻道時可以產(chǎn)生誤差寄存器error_reg的幾個增量。因此，作為懲罰引入停滯時間τ，但是停滯時間τ具有相對較小的持續(xù)時間。這樣一個短停滯時間允許在一個加密周期期間處理來自單個解碼器的單個常規(guī)ECM。根據(jù)本發(fā)明的方法僅僅破壞利用未授權(quán)的配置(例如分路器配置)的解擾。
停滯時間τ的值可以被存儲在RAM存儲器中。如果在未授權(quán)的配置情況中破壞解擾，則未授權(quán)用戶可以復(fù)位智能卡，以便復(fù)位停滯時間τ的值并允許通常的解擾。因此該算法可以包括根據(jù)智能卡的復(fù)位(框405)，用復(fù)位停滯時間τ_reset來遞增停滯時間τ的值(框406)。復(fù)位停滯時間τ_reset可以具有取決于復(fù)位后在智能卡上接收的ECM的數(shù)量的持續(xù)時間。在緊隨復(fù)位的第一處理時，復(fù)位停滯時間τ_reset的持續(xù)時間可以等于相對較高的第一復(fù)位時間值。復(fù)位智能卡的未授權(quán)用戶因此不能獲得常規(guī)解擾。
除了減慢智能卡，施加懲罰還可以包括阻塞智能卡。當智能卡分析前面的命令消息時，有可能把引入相對較小的停滯時間的懲罰改變?yōu)樽枞摽ā?br> 此外，黑客可能用大量的攻擊消息來攻擊智能卡，以便提取基本參數(shù)。在現(xiàn)有技術(shù)中，智能卡不能提供命令消息的序列的分析。通過提供對在前面時間收到的命令消息的序列的分析，本發(fā)明的方法允許檢測這種攻擊。攻擊消息實際上可能是比較類似的，并且如果執(zhí)行足夠的分析，則誤差寄存器error_reg可以具有相對較高的值。施加給智能卡的懲罰，例如引入停滯時間τ或者阻塞智能卡，可以減慢或者阻止攻擊。
ECM序列的分析圖5A和圖5B說明由根據(jù)本發(fā)明的便攜安全模塊接收的命令消息的序列的實例。所示的序列包括兩個連續(xù)的授權(quán)控制信息。在常規(guī)配置中使用的便攜安全模塊(例如智能卡)接收圖5A的命令消息的序列。圖5B的命令消息的序列由在分路器配置中使用的智能卡來接收，或者如果常規(guī)已付費用戶實際上在收到前一授權(quán)控制信息ECMn后從已確定頻道i轉(zhuǎn)換到第二頻道j，則由在常規(guī)配置中使用的智能卡來接收。
圖5A和圖5B的授權(quán)控制信息(54n，54n+1)包括第一已加密控制字(52n，52n+1)。智能卡允許解密第一已加密控制字(52n，52n+1)。從前一授權(quán)控制信息ECMn中提取的第一控制字CWi[1]允許在第一加密周期期間解擾已確定頻道i的已加擾視聽信息。
在本發(fā)明的第一實施例中，授權(quán)控制信息(54n，54n+1)還包括第二已加密控制字(53n，53n+1)。智能卡允許解密第二已加密控制字(53n，53n+1)。從前一授權(quán)控制信息ECMn中提取的第二控制字CWi[2]允許在不同于第一加密周期的第二加密周期的期間解擾已確定頻道i的已加擾視聽信息。第二加密周期可以緊隨第一加密周期。
在常規(guī)配置的情況中，如圖5A中所示，如果常規(guī)已付費用戶僅僅觀看已確定頻道的節(jié)目，則從前一授權(quán)控制信息ECMn中提取的第二控制字CWi[2]類似于新授權(quán)控制信息ECMn+1的第一控制字CWi[2]。
在實際上在接收前一授權(quán)控制信息ECMn與接收另一授權(quán)控制信息ECM’n+1之間轉(zhuǎn)換的情況下，如圖5B中所示，智能卡接收作為另一授權(quán)控制信息的授權(quán)控制信息ECM’n+1，該信息與不同于已確定頻道i的第二頻道j相關(guān)聯(lián)。因此，從前一授權(quán)控制信息ECMn中提取的第二控制字CWi[2]不同于新授權(quán)控制信息ECM’n+1的第一控制字CWj[1]。
在分路器配置的情況下，如圖5B中所示，智能卡接收來自多個解碼器的授權(quán)控制信息，每個解碼器允許解擾相應(yīng)頻道的已加擾視聽信息流。如果例如分路器允許智能卡與兩個解碼器通信，則這兩個相應(yīng)頻道很可能是不同的，因為不同的用戶不會總觀看相同的TV節(jié)目。
如果相應(yīng)頻道是不同的，則允許解擾來自每個相應(yīng)頻道的已加擾視聽信息的控制字是不同的。因此，從前一授權(quán)控制信息ECMn中提取的第二控制字CWi[2]不同于新授權(quán)控制信息ECM’n+1的第一控制字CWj[1]。
在第一實施例中，命令消息序列的分析例如是比較從前一授權(quán)控制信息中提取的第二控制字與新授權(quán)控制信息的第一控制字?？梢栽诿看谓邮帐跈?quán)控制信息時或者周期性地執(zhí)行這種分析。
與新授權(quán)控制信息比較的前一授權(quán)控制信息可以是緊接在新授權(quán)控制信息之前接收的。作為選擇，尤其在雙流的情況下，可以根據(jù)預(yù)定順序來選擇前一授權(quán)控制信息。
在圖5A和圖5B中還示出的本發(fā)明的第二實施例中，已接收的授權(quán)控制信息(54n，54n+1)包括頻道標識符(51n，51n+1)。前一授權(quán)控制信息54n的頻道標識符51n與第一控制字CWi[1]允許解擾的已確定頻道相關(guān)聯(lián)。
在常規(guī)配置的情況下，如圖5A所示，如果常規(guī)已付費用戶實際上不在接收前一授權(quán)控制信息ECMn與接收新授權(quán)控制信息ECMn+1之間轉(zhuǎn)換，則僅僅解擾來自已確定頻道的已加擾視聽信息。因此，前一授權(quán)控制信息ECMn的頻道標識符51n類似于新授權(quán)控制信息ECMn+1的頻道標識符51n+1。
在實際上在接收前一授權(quán)控制信息ECMn與接收另一授權(quán)控制信息ECM’n+1之間轉(zhuǎn)換的情況下，如圖5B中所示，智能卡接收作為另一授權(quán)控制信息的授權(quán)控制信息ECM’n+1，該信息與不同于已確定頻道i的第二頻道j相關(guān)聯(lián)。因此，前一授權(quán)控制信息ECMn的頻道標識符51n不同于新授權(quán)控制信息ECM’n+1的頻道標識符51n+1。
在圖5B中還示出的分路器配置的情況下，智能卡很可能接收與至少兩個不同頻道相關(guān)聯(lián)的授權(quán)控制信息，如以上段落所述。因此，前一授權(quán)控制信息ECMn的頻道標識符51n不同于新授權(quán)控制信息ECM’n+1的頻道標識符51n+1。
在第二實施例中，命令消息的序列的分析例如是比較前一授權(quán)控制信息的頻道標識符與新授權(quán)控制信息的頻道標識符。可以在每次接收新ECM時或者周期性地執(zhí)行這種分析。與新授權(quán)控制信息比較的前一授權(quán)控制信息可以是緊接在新授權(quán)控制信息之前接收的。
在雙流的情況下，第二實施例允許檢測到常規(guī)配置中的頻道標識符的沒有變化以及分路器配置中的頻道標識符的至少一個變化。在此后者配置中，在一個加密周期期間，智能卡至少接收-與第一解碼器和第一流相關(guān)聯(lián)的第一ECM A；-與第一解碼器和第二流相關(guān)聯(lián)的第二ECM A’；-與第二解碼器和第一流相關(guān)聯(lián)的第三ECM B；-與第二解碼器和第二流相關(guān)聯(lián)的第四ECM B’。
可以按照以下順序接收第一ECM、第二ECM、第三ECM和第四ECMA，A’，B，B’。該分析檢測到頻道標識符的至少一個變化。如果按照以下順序A，B，A’，B’接收ECM、第二ECM、第三ECM和第四ECM，則該分析檢測到頻道標識符的至少三個變化。
在沒有轉(zhuǎn)換的常規(guī)配置中的雙流情況下，僅僅接收第一ECM A和第二ECM A’，并且檢測到頻道標識符沒有變化。在此后者的情況中，根據(jù)本發(fā)明第一實施例的方法檢測到前一授權(quán)控制信息的第二控制字與新授權(quán)控制信息的第一控制字之間的變化。有必要在分析時考慮雙流根據(jù)預(yù)定的順序來選擇前一授權(quán)控制信息。第二實施例允許避免這種防范。
然而，如果黑客用比較相似的大量的攻擊授權(quán)控制信息來攻擊智能卡，則根據(jù)第一實施例的方法允許檢測到前一授權(quán)控制信息的第二控制字與新授權(quán)控制信息的第一控制字之間的大量改變。第二實施例的方法可能檢測到頻道標識符沒有變化。
如圖5A和圖5B中所示，已接收的授權(quán)控制信息可以包括頻道標識符(51n，51n+1)和第二加密控制字(53n，53n+1)。第一實施例的比較和第二實施例的比較都可以被執(zhí)行以作為命令消息的序列的分析。
可以對智能卡上接收的任何其它消息(例如EMM或復(fù)位消息)執(zhí)行分析。該分析可以是比較兩個命令消息的已確定內(nèi)容(例如頻道標識符)或者已提取信息(例如控制字)。如果所比較的已確定內(nèi)容/已提取信息是不同的，則可以遞增誤差寄存器?？梢愿鶕?jù)誤差寄存器的值來施加懲罰。施加懲罰通常包括在每次處理授權(quán)控制信息時引入停滯時間。
停滯時間管理圖6A說明根據(jù)本發(fā)明的便攜安全模塊中誤差寄存器的值的可能序列。
圖6B說明根據(jù)本發(fā)明的便攜安全模塊中停滯時間的持續(xù)時間的值的可能序列。圖6B的停滯時間序列對應(yīng)于圖6A的誤差寄存器序列。
兩個序列都被繪制為在復(fù)位后接收的授權(quán)控制信息的數(shù)量的函數(shù)。
所示的序列可以在分路器配置或者在常規(guī)已付費用戶的高轉(zhuǎn)換行為中觀察到。已接收授權(quán)控制信息的分析允許檢測到順序接收的授權(quán)控制信息的已比較的確定的內(nèi)容/提取信息的差別。在復(fù)位之后的第一階段61期間，誤差寄存器因此有規(guī)律地遞增，例如在每接收一個授權(quán)控制信息時遞增。
在圖6A和圖6B所示的實例中，如果誤差寄存器的值小于最小閾值C_min_thr，則停滯時間具有等于零的持續(xù)時間，以便避免傷害常規(guī)付費用戶從一個頻道轉(zhuǎn)換到另一頻道。
在第二階段62期間，誤差寄存器的值變成等于最小閾值C_min_thr；因此停滯時間的持續(xù)時間是非零的，并且隨著誤差寄存器值的增加而增加。然而，停滯時間的持續(xù)時間仍然小于最大時間值τ_max，該值對應(yīng)于誤差寄存器的最大閾值C_max_thr。最大時間值τ_max高得足以防止智能卡在單個加密周期期間處理多于一個的授權(quán)控制信息。在雙流的情況中，其中給定的解碼器在每個加密周期發(fā)送給定數(shù)量的授權(quán)控制信息，最大時間值τ_max具有高得足以防止處理來自多個解碼器的給定數(shù)量的授權(quán)控制信息的值。通常，每個加密周期智能卡僅僅可以處理一個給定數(shù)量的授權(quán)控制信息。
如果停滯時間具有實際上等于最大時間值的持續(xù)時間，則智能卡不能允許解擾來自多個解碼器的多個已加擾視聽信息。至少一個未授權(quán)用戶，或者與未授權(quán)用戶共享其智能卡的已付費用戶，可能看到屏幕變?yōu)榭瞻住?br> 常規(guī)已付費用戶從一個頻道到另一頻道的多次轉(zhuǎn)換可能產(chǎn)生停滯時間的增加，并且在一個附加轉(zhuǎn)換之后的一個加密周期期間可能看到屏幕變?yōu)榭瞻住３Ｒ?guī)已付費用戶可能把空白屏幕歸因于廣播問題，并且可能試圖觀看另一頻道，由此增加誤差寄存器的值。在圖6A所示的實例中，誤差寄存器的值可能總是低于最大值C_max，以便避免過度懲罰該智能卡。然而，諸如最大時間值τ_max、最小閾值C_min_thr等之類的參數(shù)可以被公平地選擇，以便避免常規(guī)已付費用戶看到屏幕變?yōu)榭瞻住?br> 即使停滯時間的持續(xù)時間等于最大時間值τ_max，特別是在分路器配置的情況下，誤差寄存器也可能在第三階段63期間繼續(xù)增加。
誤差寄存器可以基于循環(huán)原理由舊授權(quán)控制信息生成的早期增量被擦除。例如，具有確定大小的循環(huán)寄存器可以用來評估誤差寄存器。每次執(zhí)行分析時，循環(huán)寄存器的二進制值被左移。循環(huán)寄存器左端的在前位置的二進制值因而被擦除。取決于分析結(jié)果的新的二進制值被寫在循環(huán)寄存器右端的目前的空位置上。通常，如果檢測到所分析的授權(quán)控制信息的已比較的確定的內(nèi)容/提取信息之間的差異，則可以寫入“1”，否則可以寫入“0”。
誤差寄存器可以具有等于循環(huán)寄存器的二進制值的總和的值。誤差寄存器的值因此總是小于或者等于對應(yīng)于循環(huán)寄存器的大小的最大值如果等于該最大值，則循環(huán)寄存器的所有位置都用“1”填充。最大值可以是圖6A所示的最大值C_max如果不再檢測到所分析的授權(quán)控制信息的已比較的確定的內(nèi)容/提取信息之間的差異，則還可以減少誤差寄存器的值，如圖6A所示。該減少可以歸因于各種原因。在分路器配置的情況下，未授權(quán)用戶可能關(guān)閉了他們的解碼器。常規(guī)已付費用戶可能不再轉(zhuǎn)換等。
作為選擇，誤差寄存器可以是單個整數(shù)，它根據(jù)命令消息序列的分析結(jié)果而遞增或者遞減。
只要誤差寄存器的值大于一個減少閾值，例如最大閾值C_max_thr，則停滯時間的持續(xù)時間保持等于最大時間值τ_max。
當在第四階段64誤差寄存器的值變得小于最大閾值C_max_thr時，停滯時間的持續(xù)時間開始降低。
在分路器配置的情況下，如果未授權(quán)用戶在第三階段63繼續(xù)他的解碼器，則停滯時間的持續(xù)時間保持在最大時間值τ_max。如果未授權(quán)用戶在第四階段64打開他的解碼器，則誤差寄存器開始再次增加(序列未表示)。
未授權(quán)用戶也可以在第三階段復(fù)位智能卡，以便復(fù)位停滯時間的持續(xù)時間的值。停滯時間的持續(xù)時間的值和誤差寄存器的值實際上可被存儲在復(fù)位時擦除的易失性存儲器中。
圖6C說明根據(jù)本發(fā)明的便攜安全模塊的停滯時間的持續(xù)時間的值的序列的實例。該序列被繪制為復(fù)位后接收的授權(quán)控制信息的數(shù)量的函數(shù)。與圖6B中所示的實例序列不同，圖6C的實例序列具有直接在復(fù)位后的非零值。在復(fù)位后一個授權(quán)控制信息的每次處理時，可以引入復(fù)位停滯時間。復(fù)位停滯時間具有取決于復(fù)位后在智能卡上接收的授權(quán)控制信息的數(shù)量的持續(xù)時間。復(fù)位停滯時間的持續(xù)時間等于緊隨復(fù)位的第一處理上的第一復(fù)位時間值τ_reset_max，并且隨著已接收授權(quán)控制信息的數(shù)量而降低。
引入復(fù)位停滯時間和引入停滯時間可以在單個軟件程序中實現(xiàn)總停滯時間可以等于可以在EEPROM中讀取的復(fù)位停滯時間與存儲在易失性存儲器中的從循環(huán)寄存器中評估的停滯時間之和。
因此通過復(fù)位時的復(fù)位停滯時間來減慢智能卡處理。
第一復(fù)位時間值τ_reset_max優(yōu)選小于停滯時間的最大時間值τ_max，以便避免傷害常規(guī)已付費用戶在常規(guī)復(fù)位之后例如由于斷電而復(fù)位。
由于第一復(fù)位時間值τ_reset_max小于最大時間值τ_max，所以未授權(quán)用戶可能在每次已加擾視聽信息的解擾不能正確起作用時試圖復(fù)位智能卡。黑客甚至可能在每個加密周期左右生成智能卡的復(fù)位，以便允許正確解擾或者出于攻擊的目的。
智能卡阻塞圖7說明將在根據(jù)本發(fā)明的便攜安全模塊中實施的算法的實例。圖7的算法允許根據(jù)中間命令消息的中間組來評估另一復(fù)位的特性。中間組包括在前一復(fù)位之后接收的命令消息比如授權(quán)控制信息的序列，該前一復(fù)位在所述另一復(fù)位之前。
當在智能卡上接收消息時，智能卡測試該消息是否為ECM(框71)。如果該消息是ECM，則智能卡處理該授權(quán)控制信息，例如智能卡解密包含在授權(quán)控制信息內(nèi)的已加密控制字。通過在每次處理后遞增計數(shù)寄存器nb_ECM來計數(shù)中間命令消息的數(shù)量(框72)。
比較中間命令消息的數(shù)量與復(fù)位閾值數(shù)量nb_ECM_min(框73)。該比較的結(jié)果允許評估另一復(fù)位的特性如果計數(shù)寄存器nb_ECM等于復(fù)位閾值數(shù)量nb_ECM_min，則每次復(fù)位后具有NOK值(例如“0”)(框75)的標志被設(shè)置為OK值，例如“1”(框74)。
如果計數(shù)寄存器nb_ECM大于復(fù)位閾值數(shù)量nb_ECM_min，則該標志已經(jīng)具有OK值。如果計數(shù)寄存器nb_ECM小于復(fù)位閾值數(shù)量nb_ECM_min，則該標志具有NOK值。因而該標志的值指示中間命令消息的數(shù)量是否大于復(fù)位閾值數(shù)量nb_ECM_min。該標志的值被存儲在非易失性存儲器中。當另一復(fù)位發(fā)生(框76)時，讀取該標志的值，并且將其與NOK值進行比較(框77)。
如果標志的值為OK，即如果智能卡從前一復(fù)位起已經(jīng)接收到大于復(fù)位閾值數(shù)量nb_ECM_min的授權(quán)控制信息，則另一復(fù)位被評估為正常。該標志被再次重置為NOK值(框75)，并且智能卡等待新消息(框78)。每個新ECM被處理(框72)，并且該標志保持NOK值，直至接收到并處理授權(quán)控制信息的復(fù)位閾值數(shù)量nb_ECM_min，如前面的段落所述。
如果該標志的值為NOK，即中間命令消息的數(shù)量小于從前一復(fù)位起復(fù)位閾值數(shù)量nb_ECM_min，則另一復(fù)位被評估為可疑的。復(fù)位誤差寄存器nb_reset_off被遞增(框79)，并且將其值與復(fù)位誤差閾值reset_max進行比較(框710)。
如果復(fù)位誤差寄存器nb_reset_off的值等于復(fù)位誤差閾值reset_max，則智能卡被阻塞(框711)。如果復(fù)位誤差寄存器nb_reset_off的值小于復(fù)位誤差閾值reset_max，則智能卡等待消息(框78)，并且進一步計數(shù)中間命令消息。復(fù)位誤差寄存器nb_reset_off的值可能不大于復(fù)位誤差閾值reset_max，因為當復(fù)位誤差寄存器nb_reset_off的值等于復(fù)位誤差閾值reset_max時，智能卡就被阻塞。
這種算法允許懲罰下述的未授權(quán)用戶，即該未授權(quán)用戶在每次不正確解擾已加擾視聽信息時復(fù)位智能卡，或者在少量加密周期后自動復(fù)位智能卡。
該算法還允許利用在它們之間的復(fù)位來阻塞接收攻擊命令的智能卡。
諸如復(fù)位誤差閾值reset_max、復(fù)位閾值數(shù)量nb_ECM_min等之類的參數(shù)可以具有適當值，該適當值適于常規(guī)已付費用戶、未授權(quán)用戶以及黑客的可能行為。
用于管理懲罰的任何其它算法可以應(yīng)用于智能卡例如當誤差寄存器的值達到極限值時可以阻塞該智能卡，所述極限值高于最大閾值C_max_thr。
命令消息序列的分析優(yōu)選可以是比較新授權(quán)控制信息與前一授權(quán)控制信息。作為選擇，可以分析EMM、復(fù)位消息或者在智能卡上接收的任何其它消息。命令消息序列的分析還可以是對兩個復(fù)位之間的多個中間命令消息的計數(shù)，以便評估前一復(fù)位的特性。
該分析優(yōu)選可以是上述分析的組合例如，比較每個新授權(quán)控制信息與前一授權(quán)控制信息，并且計數(shù)兩個復(fù)位之間的多個授權(quán)控制信息，以便加強智能卡的保護。上述分析的組合的另一實例是比較每個新ECM與前一ECM，比較每個新EMM與前一EMM，以及比較每個新的其它命令消息與前一其它命令消息。可以計數(shù)兩個ECM、兩個EMM和兩個其它命令消息以評估復(fù)位。優(yōu)選執(zhí)行三個不同的計數(shù)裝置，以便提供對用戶行為的完全理解，并由此施加適當?shù)膽土P。
優(yōu)選地，施加于智能卡的懲罰允許破壞ECM的處理。該懲罰還可允許破壞EMM處理、智能卡上消息的接收、或者智能卡的任何其它動作。
允許實施根據(jù)本發(fā)明的方法的軟件也被包含在本發(fā)明的范圍內(nèi)。
該軟件可以在制造便攜安全模塊時下載。作為選擇，當用戶已經(jīng)使用時，在便攜安全模塊上接收至少一個配置消息，從而允許下載軟件。這兩種方法都被包含在本發(fā)明的范圍內(nèi)。
盡管已經(jīng)相對于有限數(shù)量的實施例描述了本發(fā)明，但是具有本公開益處的本領(lǐng)域技術(shù)人員將會理解，可以設(shè)計其它不背離如在此公開的本發(fā)明范圍的實施例。因此，本發(fā)明的范圍應(yīng)當僅僅由所附權(quán)利要求書來限定。
權(quán)利要求
1.一種用于保護供解碼元件使用的便攜安全模塊的方法，該便攜安全模塊和該解碼元件允許解擾已加擾的視聽信息，該方法包括在便攜安全模塊上處理在便攜安全模塊上接收的授權(quán)控制信息(ECM)，以允許解擾已加擾的視聽信息；該方法的特征在于它還包括在便攜安全模塊上分析(402)ECM的序列，該ECM的序列包括新ECM和在前一時間接收的前一ECM，該序列的ECM是便攜安全模塊在不同時間接收的，所述分析是在接收新ECM時執(zhí)行的；在分析時根據(jù)分析的已確定結(jié)果進行遞增誤差寄存器(403)；根據(jù)誤差寄存器的值，通過在處理時引入停滯時間來對便攜安全模塊施加懲罰，以便減慢處理(404)。
2.根據(jù)權(quán)利要求1所述的方法，其中利用授權(quán)管理信息(EMM)來代替ECM。
3.根據(jù)權(quán)利要求1所述的方法，其中停滯時間具有取決于誤差寄存器的值的持續(xù)時間(404)。
4.根據(jù)權(quán)利要求1或3中任何一項所述的方法，其中停滯時間的持續(xù)時間比最大時間值短；最大時間值高得足以防止便攜安全模塊(31)在單個加密周期期間處理多于一個的ECM。
5.根據(jù)權(quán)利要求1或者3至4中任何一項所述的方法，其中每個ECM(54n，54n+1)包括一個頻道標識符(51n，51n+1)，該頻道標識符與已確定頻道相關(guān)聯(lián)；ECM序列的分析包括比較新ECM 54n+1的頻道標識符51n+1與前一ECM 54n的頻道標識符51n。
6.根據(jù)權(quán)利要求1或者3至4中任何一項所述的方法，其中每個ECM(54n，54n+1)包括第一已加密控制字(52n，52n+1)和第二已加密控制字(53n，53n+1)；第一控制字允許在第一加密周期期間解擾已加擾視聽信息；第二控制字允許在不同于第一加密周期的第二加密周期期間解擾已加擾視聽信息；ECM序列的分析包括比較前一ECM 54n的第二控制字53n與新ECM 54n+1的第一控制字52n。
7.根據(jù)權(quán)利要求1或者3至4中任何一項所述的方法，其中ECM序列的分析包括比較ECM序列的第一ECM的已確定內(nèi)容與ECM序列的第二ECM的第二已確定內(nèi)容。
8.根據(jù)權(quán)利要求1或者3至7中任何一項所述的方法，還包括一復(fù)位就在ECM的每次處理時引入復(fù)位停滯時間，其中復(fù)位停滯時間具有取決于復(fù)位后在便攜安全模塊上接收的ECM的數(shù)量的持續(xù)時間，該持續(xù)時間等于緊隨復(fù)位的第一處理的第一復(fù)位時間值；第一復(fù)位時間值小于最大時間值。
9.根據(jù)權(quán)利要求1或者3至8中任何一項所述的方法，還包括根據(jù)中間ECM的中間組來評估另一復(fù)位的特性，該中間組包括在前一復(fù)位之后接收的ECM，該前一復(fù)位在所述另一復(fù)位之前。
10.根據(jù)權(quán)利要求9所述的方法，還包括計數(shù)中間ECM的數(shù)量(72)；比較中間ECM的數(shù)量與復(fù)位閾值數(shù)量(73)，其中該比較的結(jié)果允許評估另一復(fù)位的特性；如果另一復(fù)位被評估為可疑的，則根據(jù)另一復(fù)位來遞增復(fù)位誤差寄存器(79)；如果復(fù)位誤差寄存器具有大于復(fù)位誤差閾值的值，則阻塞便攜安全模塊(711)。
11.一種供解碼元件使用的便攜安全模塊(31)，其中該便攜安全模塊和該解碼元件允許解擾已加擾的視聽信息，該便攜安全模塊包括接收授權(quán)控制信息(ECM)的接收裝置；處理在便攜安全模塊上接收的ECM以便允許解擾已加擾視聽信息的處理裝置(32)；該便攜安全模塊的特征在于它還包括在其中可以存儲在前一時間接收的前一ECM(ECMn)的命令消息存儲器(36)；分析ECM的序列的分析裝置(35)，所述ECM序列包括新ECM和前一ECM，該序列的ECM是便攜安全模塊在不同時間接收的，并且所述分析是在每次接收新ECM(ECMn+1)時執(zhí)行的；比較ECM序列的新ECM與前一ECM的比較裝置；誤差寄存器(37)；根據(jù)比較的結(jié)果來遞增誤差寄存器的遞增裝置；在每次處理時引入停滯時間以便減慢處理的延遲裝置。
12.根據(jù)權(quán)利要求11所述的便攜安全模塊(31)，其中延遲裝置還允許一復(fù)位就在該復(fù)位后的每次處理時引入復(fù)位停滯時間；復(fù)位停滯時間具有取決于該復(fù)位后的處理的數(shù)量的持續(xù)時間，該持續(xù)時間等于緊隨復(fù)位的第一處理的第一復(fù)位時間值。
13.根據(jù)權(quán)利要求11至12中任何一項所述的便攜安全模塊(31)，還包括允許存儲中間ECM的數(shù)量的計數(shù)寄存器，該中間ECM是在前一復(fù)位之后在便攜安全模塊上接收的；標志，該標志具有取決于計數(shù)寄存器與復(fù)位閾值數(shù)量的比較結(jié)果的值；根據(jù)另一復(fù)位時該標志的值進行遞增的復(fù)位誤差寄存器；根據(jù)復(fù)位誤差寄存器的值來阻塞便攜安全模塊的阻塞裝置。
14.根據(jù)權(quán)利要求11至13中任何一項所述的便攜安全模塊，其中用授權(quán)管理信息(EMM)來代替ECM。
15.一種在便攜安全模塊內(nèi)使用的計算機程序，其中該計算機程序?qū)嵤└鶕?jù)權(quán)利要求1至10中任何一項所述的方法。
16.一種用于保護便攜安全模塊的方法，包括下載允許實施根據(jù)權(quán)利要求1至10中任何一項所述的方法的軟件，其中該下載包括在便攜安全模塊上接收來自解碼元件的至少一個配置消息。
全文摘要
一種用于保護供解碼元件使用的便攜安全模塊的方法，該便攜安全模塊和該解碼元件允許解擾已加擾視聽信息。該方法包括在便攜安全模塊上分析命令消息的序列，該序列的命令消息是便攜安全模塊在不同時間接收的。
文檔編號H04N7/167GK1930879SQ200580007479
公開日2007年3月14日 申請日期2005年2月18日 優(yōu)先權(quán)日2004年3月11日
發(fā)明者M·梅拉德, D·勒弗洛奇 申請人:卡納爾技術(shù)公司